Scovai è progettata con la protezione dei dati al centro. La presente Politica GDPR descrive come ci conformiamo al Regolamento Generale sulla Protezione dei Dati (UE) 2016/679 e le misure di protezione che implementiamo per tutelare i diritti degli interessati — in particolare i candidati i cui dati personali sono trattati attraverso la nostra piattaforma di reclutamento basata sull'AI.
1. Il Nostro Ruolo ai Sensi del GDPR
Scovai opera in due vesti a seconda del contesto:
- Responsabile del trattamento: Quando le organizzazioni (Tenant) utilizzano Scovai per gestire i loro processi di reclutamento, agiamo come responsabili del trattamento per conto del Tenant (titolare del trattamento). Il trattamento è regolato da un Accordo per il Trattamento dei Dati (DPA).
- Titolare del trattamento: Per i visitatori del nostro sito web, i candidati diretti al nostro talent pool e i titolari di account, agiamo come titolari del trattamento.
2. Protezione dei Dati fin dalla Progettazione e per Impostazione Predefinita
In conformità con l'Articolo 25 del GDPR, Scovai implementa la protezione dei dati fin dalla progettazione e per impostazione predefinita:
- Isolamento multi-tenant: I dati di ciascuna organizzazione sono logicamente isolati. Gli utenti possono accedere solo ai dati all'interno del proprio tenant.
- Raccolta minima dei dati: Raccogliamo solo i dati necessari per la funzionalità di reclutamento in uso.
- Pseudonimizzazione: Gli embedding vettoriali utilizzati per il matching semantico non sono leggibili dall'uomo e non possono essere invertiti per ricostruire il testo originale del CV.
- Controllo degli accessi: Il controllo degli accessi basato sui ruoli (RBAC) garantisce che gli utenti vedano solo i dati pertinenti al loro ruolo (Admin, Recruiter o Candidato).
- Crittografia: Tutti i dati in transito sono crittografati tramite TLS. Le credenziali sensibili sono crittografate con AES-256-CBC a riposo.
3. Gestione del Consenso
Scovai fornisce un sistema integrato di gestione del consenso che:
- Registra il consenso granulare per specifici scopi di trattamento (analisi CV, scoring AI, valutazione psicometrica, partecipazione ai colloqui, inclusione nel talent pool)
- Mantiene un audit trail completo di quando il consenso è stato dato, modificato o revocato
- Consente ai candidati di revocare il consenso in qualsiasi momento attraverso il proprio profilo
- Limita automaticamente il trattamento quando il consenso viene revocato
4. Garanzie per il Processo Decisionale Automatizzato (Articolo 22)
Scovai utilizza l'AI per lo scoring, la profilazione e la valutazione. Implementiamo le seguenti garanzie ai sensi dell'Articolo 22(3):
4.1 Nessuna Decisione Esclusivamente Automatizzata
La Piattaforma è progettata come strumento di supporto alle decisioni. Gli output AI (punteggi, classifiche, valutazioni dei colloqui) sono presentati come raccomandazioni ai recruiter umani, che mantengono piena autorità sulle decisioni di assunzione.
4.2 Spiegabilità
Ogni punteggio generato dall'AI include una motivazione AI Spiegabile (XAI) che descrive, in linguaggio semplice, i fattori che hanno influenzato il punteggio. Questo include:
- Quali competenze e qualifiche hanno contribuito al punteggio
- Quali aggiustamenti sono stati applicati e perché
- Come il candidato si confronta con i requisiti della posizione
4.3 Diritto di Contestazione
I candidati possono richiedere la revisione umana di qualsiasi valutazione o punteggio generato dall'AI attraverso il modulo di conformità della Piattaforma. I Tenant vengono notificati e devono rispondere alle richieste di revisione entro un tempo ragionevole.
4.4 Monitoraggio dei Bias
La Piattaforma include un monitoraggio automatico dei bias che analizza i pattern di scoring AI per disparità demografiche, inclusa la distribuzione per genere ed età nei punteggi.
5. Diritti dell'Interessato
Scovai supporta l'esercizio di tutti i diritti dell'interessato ai sensi del GDPR:
| Diritto | Articolo GDPR | Come Scovai lo Supporta |
|---|---|---|
| Accesso | Art. 15 | I candidati possono visualizzare tutti i loro dati attraverso il profilo. I Tenant possono esportare i dati dei candidati tramite il modulo di conformità. |
| Rettifica | Art. 16 | I candidati possono modificare direttamente i dati del proprio profilo. I recruiter possono aggiornare le informazioni dei candidati. |
| Cancellazione | Art. 17 | Le richieste di esportazione e cancellazione dei dati GDPR possono essere avviate tramite il modulo di conformità con audit logging completo. |
| Limitazione | Art. 18 | Il trattamento può essere limitato per singolo candidato mentre le controversie vengono risolte. |
| Portabilità | Art. 20 | I dati possono essere esportati in formato JSON strutturato tramite il modulo di conformità o le API. |
| Opposizione | Art. 21 | I candidati possono opporsi alla profilazione e al trattamento automatizzato attraverso le impostazioni di consenso. |
| Decisioni automatizzate | Art. 22 | Le richieste di revisione umana possono essere presentate per qualsiasi decisione AI. Vedi Sezione 4 sopra. |
6. Accordi per il Trattamento dei Dati
Tutte le relazioni con i Tenant sono regolate da un Accordo per il Trattamento dei Dati (DPA) che specifica:
- L'oggetto e la durata del trattamento
- La natura e lo scopo del trattamento
- I tipi di dati personali trattati
- Le categorie di interessati
- Gli obblighi e i diritti del titolare e del responsabile
- I requisiti e le procedure di approvazione per i sub-responsabili
7. Procedure per la Violazione dei Dati
In caso di violazione dei dati personali, Scovai:
- Notificherà i Tenant interessati (titolari del trattamento) senza indebito ritardo ed entro 72 ore dalla scoperta della violazione
- Fornirà informazioni dettagliate sulla violazione, inclusa la natura dei dati interessati, le probabili conseguenze e le misure adottate
- Assisterà i Tenant nell'adempimento dei propri obblighi di notifica alle autorità di controllo e agli interessati
- Documenterà tutte le violazioni in un registro interno delle violazioni
8. Sub-Responsabili
Scovai minimizza l'uso di sub-responsabili. Attualmente:
- Elaborazione AI: La maggior parte dell'elaborazione AI (analisi CV, scoring, assessment, colloqui) viene eseguita su infrastruttura ospitata localmente all'interno dello SEE. Nessun dato personale dei candidati viene inviato a fornitori AI esterni.
- Generazione descrizioni lavoro: Utilizza l'API Anthropic Claude, ma vengono inviati solo dati relativi alla posizione (titoli, requisiti) — mai dati personali dei candidati.
- Infrastruttura: Tutta l'infrastruttura di hosting si trova all'interno dello Spazio Economico Europeo.
Notificheremo i Tenant prima di coinvolgere nuovi sub-responsabili che trattano dati personali.
9. Conservazione e Cancellazione dei Dati
I periodi di conservazione dei dati sono configurati a livello di piattaforma e possono essere personalizzati dai Tenant entro gli intervalli consentiti. I periodi di conservazione predefiniti sono dettagliati nella nostra Informativa sulla Privacy. Processi di cancellazione automatica vengono eseguiti quotidianamente per rimuovere i dati che hanno superato il periodo di conservazione.
10. Contatta il Team Protezione Dati
Per richieste relative al GDPR, richieste degli interessati o per richiedere una copia del nostro Accordo per il Trattamento dei Dati:
Email: privacy@scovai.com